Databehandleraftale

Hvornår er en leverandør databehandler?

Afgørende er, hvad der sker i praksis – ikke hvad aftalen kalder parterne. Datatilsynet beskriver den dataansvarlige som den, der afgør, hvorfor og hvordan personoplysninger behandles, og databehandleren som den, der behandler oplysningerne på den dataansvarliges vegne og efter dennes instruks.

Ikke alle leverandører er databehandlere. Datatilsynets eget eksempel: En tekniker, der reparerer en kopimaskine, som tilfældigvis indeholder personoplysninger, er ikke databehandler, fordi opgaven ikke handler om at behandle oplysningerne. Her kan en fortrolighedserklæring være relevant i stedet.

Hvad aftalen skal indeholde

Aftalen skal være skriftlig – elektronisk er nok – og bindende for databehandleren. Ifølge Datatilsynets vejledning skal den blandt andet indeholde:

• genstanden for og varigheden af behandlingen
• behandlingens karakter og formål
• typen af personoplysninger og kategorierne af registrerede (fx kunder, patienter, medarbejdere)
• den dataansvarliges rettigheder og forpligtelser
• databehandlerens pligter – herunder at behandle efter instruks, sikre fortrolighed, have passende sikkerhed og regler for brug af underdatabehandlere og for sletning eller tilbagelevering ved ophør

Underdatabehandlere

Mange leverandører bruger selv andre leverandører – fx et datacenter, et backupfirma eller Microsoft. De kaldes underdatabehandlere. En databehandler må kun bruge dem med forudgående specifik eller generel skriftlig godkendelse fra jer. Ved en generel godkendelse skal databehandleren give jer besked om ændringer, så I kan gøre indsigelse. Databehandleren forbliver fuldt ansvarlig over for jer for underdatabehandlerens overholdelse af reglerne.

Ligger en underdatabehandler uden for EU/EØS, eller kan den tilgå data derfra – fx via support – kræver det et særskilt grundlag for overførsel til tredjeland. Datatilsynets vejledning om cloud viser med et eksempel, at også tillægsydelser som døgnsupport skal med i vurderingen.

Standardvilkår hos store cloudleverandører

Hos Microsoft, Google og andre store leverandører kan aftalen ikke forhandles; databehandlervilkårene indgår i standardvilkårene. Hos Microsoft hedder dokumentet Data Protection Addendum (DPA). Datatilsynet skriver, at standardvilkår sagtens kan leve op til reglerne – men at det altid er den dataansvarliges pligt at være betrygget i det og kunne dokumentere det over for tilsynet.

Tilsyn – den del, der ofte mangler

Datatilsynet skriver direkte, at underskrift af en databehandleraftale ikke er tilstrækkeligt; den dataansvarlige skal også føre tilsyn med, at aftalen overholdes, herunder at de aftalte sikkerhedsforanstaltninger er indført. Omfanget afhænger af risikoen. For en mindre virksomhed kan det fx være en årlig gennemgang af leverandørens revisionserklæring eller dokumentation og en kort note om, hvad der er tjekket. Datatilsynet har en særskilt vejledning om tilsyn med databehandlere.

Spørgsmål I kan stille

• Har vi en liste over alle leverandører, der behandler personoplysninger for os?
• Har vi en databehandleraftale med hver af dem – og ved vi, hvor de ligger?
• Hvilke underdatabehandlere bruger vores leverandører, og hvor befinder de sig?
• Hvornår har vi sidst ført tilsyn med vores vigtigste databehandlere, og er det dokumenteret?
• Hvad står der om sletning og tilbagelevering af data, når aftalen ophører?

Hvornår giver det mening at få hjælp?

Det giver mening at få hjælp, når I skal danne jer et overblik over, hvilke IT-tjenester der behandler personoplysninger, eller når I skal dokumentere sikkerheden hos jeres IT-leverandør. Behandler Furesø Data personoplysninger for jer som IT-leverandør, skal der være en databehandleraftale mellem os.

Spørgsmål og svar

Relaterede ord